引言

 

法律风险防范就是提前识别、预见风险并制定应对的方案。在交易或法律关系形成的初期避免法律纠纷和法律责任，与在法律纠纷和法律责任已经形成之后再来解决相比，前者的成本远远小于后者。因此，风险防范也能产生极大的经济效益。解决法律纠纷的实际成本有时会大得超出预期。想必大家都听过“诉讼无赢家”的说法。即便某一方胜诉了，也会遭受不必要的经济损失。除此之外，旷日持久的诉讼还会严重影响正常业务和合作关系。当出现法律纠纷时，当初看似有利可图的交易，此时却变成了一种长期的不确定性和成本。

 

当然，我们不应该用一种“事后诸葛亮”的方式来审视每一笔潜在的交易。我们也不能因噎废食，因为将来可能会发生法律纠纷，就排斥所有交易。这是不恰当的“风险厌恶”。解决问题的关键在于要有一套行之有效的法律风险防范机制。规则、行为和文化，就是这个机制的三位一体。

 

一、法律风险防范的“三位一体”

（一）规则

毫无疑问，法律专业人士都擅长处理规则，包括法律、制度中的规则和合同中设立的规则。规则就是用以解决法律纠纷的标准，在法律风险防范机制中不可或缺。

 

众所周知，当感到权利受到侵犯时，人们会转而提出索赔。权利受到侵犯的感觉，又源自期望落空。在合同交易中，有些期望就是合同规则所创立的。这些合同规则通常都是约定了各方应该做什么，必须做什么。明确、清晰且详尽的合同规则可以促成双方形成共同的预期，并制定争议发生后的解决规则。通过清晰明确的合同条款，双方可以在预期上达成共识，并设立各种问题的解决规则，避免在合同履行过程中，一方当事人的行为被另一方视为对其权利的侵犯。

 

因此，法律风险防范工作要求我们能够预见可能发生的法律风险。在此基础之上，要么重新设计、相应调整交易的模式和细节以规避风险；要么事先协商好规则，当此类风险问题出现时双方该如何处理。

 

在制定制度时，我们应该在制度中明确告诉人们可以做什么，不可以做什么。既要有概括性的原则，也要有详细具体的细则。比如，不是每个人都能准确地理解什么是“商业秘密”。为了使制度更具指导性，制度应该兼顾业务和风险。也就是要兼顾效率和安全。因此，有的企业会在制定制度时让相关业务部门参与起草与其业务相关的某一部分。

 

作为法律风险管理人员（律师、法务等），这是我们在传统意义上的主要职责。制定规则（合同条款、公司规章制度等）的确是法律风险管理中所不可或缺的工作，但这只是其中的一方面。

 

（二）行为

 

 

 

图中所示的是一个电源适配器。为了防止人们将插头插反，厂家做了特别的设计。因为厂家能够预测到用户在使用过程中可能会插反，因此有意设置“障碍”，引导用户能够正确插入。这一生活中的小细节，给我们带来大启发。

 

在解决法律风险事件时，例如诉讼案件，对法律专业人士来说，最为关键的是需要准确预测法院可能会怎么做。而在防范法律风险时，关键的是要准确预测当事人可能会怎么做，进而引导或改变他的行为。绝大多数的法律纠纷当事人，起初都是怀着好意行事的。当然也不排除极少部分不怀好意的人士恶意违反规则，但这毕竟是少数。如果我们能够预测人们在某些特定情形下可能做出的行为，那么我们就能尽量减少法律风险发生的可能性。

 

例如，出于业绩考核等方面的压力，企业的营销部门在合同谈判过程中，对合同中的风险事项，往往容易倾向于低估或忽视其潜在的不利影响。这是我们能够预测到的行为。因此，为了改变他们的这些低估或忽视行为，引导其重视风险事项，我们可以设置合同评审流程，指导、协助他们去争取更有利的合同条件，核实其对评审意见的落实情况，在合同签约前客观反映风险状况。

 

因此，为了做好法律风险防范，我们应该关注人们的行为。通过预测并引导那些受到法律事件影响的人所做出的日常行为，我们可以减少法律风险的发生。

 

（三）文化

所谓文化，就是对人们言行的不成文要求和预期。因此，重视制度建设是必要的，但这还不够。有效的法律风险管理还应重视文化建设。在法律风险防范机制中，文化的作用至关重要。

 

设定规则和预测、引导行为很有必要，但是这还不够。企业风险防范最大的敌人其实是漠视风险的企业文化。

 

文化战胜规则的事例，无处不在。某个单位可以针对职场性骚扰行为制定详尽的禁止性规定，但是一种男尊女卑和将女性物化的文化仍然会导致对女性的各种骚扰。如果一家企业将其发展的规模置于发展的质量之上，那么在企业中，为了完成经营规模指标而违反各种风险控制规则的现象肯定不会少。正是文化，才让某些实际上不对的行为却看似挺正常。“法不责众”这个成语，就是指当某项行为具有一定的群体性或普遍性时，即使该行为含有某种不合法或不合理因素，法律对其也难以惩戒。为何会出现这种不符合法律逻辑的现象？究其原因，无非就是文化的作用。当大家都认为这样做OK，那就OK，哪怕这样已经违法了。所以，当规则与文化发生冲突时，文化总是能够占据上风。

 

为了说明这个问题，我们可以再看看现在企业内部的信息管理情况。无论企业本身是否身处互联网行业，现在大家都在利用信息技术开展业务，与信息技术的使用相关的法律风险也就随之而来。这些法律问题包括：信息腐败、虚假信息以及不当使用信息技术工具等等。在不当使用信息技术工具中，最为常见的应该就是员工对电子邮箱和社交媒体的不当使用。

 

因不当使用电子邮箱和社交媒体而导致的经营风险也较为严重。一些看似无害的电子邮件，就可能会影响企业在诉讼中的胜败；员工在社交媒体中所透漏的工作内容，一不小心就泄露了企业的商业秘密。员工利用企业内部即时通讯工具的日常闲聊，也可能会带来谣言、中伤甚至侵犯他人名誉。

 

对这些问题，相信绝大多数企业首先做的就是制定各种规章制度，明确要求使用这些信息技术工具的行为规范，并辅以相关的惩处措施。这是制定规则。有的企业可能会做得更好一些，采取一些改变事实的防范性措施，及早避免出现这些行为。比如，在员工的电脑上安装监控软件、阻止某些工具（QQ、微信甚至外部邮箱）的使用。诚然，这些都是防范相关法律风险的必要手段。但是，根据既往的经验和大家的亲身体会，实际效果远不如预期。当大家还处在一种保密意识淡薄、公私不分明、生活工作不分明的文化当中，当这种文化与纸面上的规则发生冲突时，文化最终还是战胜了规则。

 

一套全面的法律风险防范机制，应该包括三个方面：规则、引导人们的行为以及合规文化的建设。最难做好的，其实就是合规文化的建设。即使是从事风险防控工作多年的专业人士，也会深感难度之大。在我们的社会，当某个法律问题发生时，各路专家学者都会分析现行法律体制的缺陷，针对分析的产生原因，提出完善立法的建议。在企业内部，也是如此。我们会针对出现的问题制定、完善各种规章制度，修订管理流程。此外，还会采取一系列类似于“监控软件”的举措，旨在引导、改变员工的行为。但是很少有人提出如何结合具体的情况进行合规文化建设。因为这个确实太难了。

 

二、文化建设是重中之重

 

如何建设企业的合规文化？笔者认为，对于任何一个企业而言，首先应该遵守这几点原则：公司应该大力宣扬合规的价值观，将其置于与规则同等重要地位；让各级员工知晓这些价值观的内涵和重要性；各级员工对同一价值观的明确遵守，尤其是最高管理者的带头遵守；一套行之有效、严格执行的管理体系，强化公司对所宣扬的价值观的诚意。具体的举措建议如下：

 

（一）让员工参与制定规章制度

全员参与，可能是一句老调重弹，但是这很关键。如果文化是一种引导人们行为的不成文规范，那么，全员主动参与的效果肯定好过让员工被动接受。因此，我们应该向人们解释制度的出发点、目标以及重要性，鼓励相关员工参与制度的制定。

 

（二）有效传达制度要求

企业颁布了法律风险防范的各项制度，但如果人们都不知道制度是如何规定的，甚至不知道有这么一个制度，那么就很难说这项制度实现了风险防范的初衷，更别提文化建设了。很多企业内都存在这种问题。

 

（三）领导层以身作则，率先垂范

这一点的重要性毋庸置疑。中国有句俗话说得好，“上梁不正下梁歪”。一个组织的最高管理者和高级管理层，决定了这个组织的合规文化状况。只有领导带头遵守企业的各项规章制度，下面的各级员工才会跟着遵守。规章制度规定得再好，流程设计得再完美，其效果也抵不过领导们的带头违反。“上行下效”本身就是一种文化现象。

 

（四）分工明确，权责明晰

在法律风险防范体系中，关键是要有预防、发现法律风险因素的机制，而要实现这一目标的基础就是权责明晰。如果说人人都有法律风险防范的责任，那等于人人都没责任。然而，如果将法律风险防范的责任压在某个部门或某各人员身上时，又会是导致其他人认为法律风险防范与他们无关。这种现象在合同业务中就很普遍。很多项目经理等业务人员认为合同就是法律部门或律师的事，因此向来都是把合同文本甩给法务或律师，自己却从来不读合同条款。殊不知，做为企业在签订、履行合同时的授权代表，他才是最应该熟知合同条款的人。

 

（五）赏罚分明，令行禁止

早在2000多年前，孟子就已经提出，“徒法不足以自行”。刘邦“约法三章”，关键在于严格执行，而不在于条文多寡。对一个国家来说是这样，对一个企业而言也应如此。只有严格执行制度，赏罚分明，才能向每一位员工释放这么一种信号：制度的确重要，应该遵守，制度所要求的正是我们的共同价值观。如果一个企业的规章制度现状是“严格立法，普遍违法，选择执法”，那就注定了这些制度作用极其有限，最终也无法培育员工的“守法”文化。

 

三、结语

 

规则、行为以及文化，是有效防范法律风险工作的三个方面，缺一不可。如果用通俗易懂的语句来总结法律风险防范机制，可以概括为：一、清晰明确地告诉人们该做什么，不该做什么；二、设置“物理”障碍，防止人们犯错；三、建立及早发现问题的监测机制；四、建立激励机制，正向鼓励人们“循规蹈矩”；五、建立鼓励主动报告问题并后续跟进的运行体系。其中，“一”是“规则”，“二”和“三”是“预测、引导行为”，“四”和“五”就是“培育、